据新智元和多家科技媒体报道Anthropic 宣布从下周起把 Claude 的自动模式设为默认以前 Claude 每执行一步——写文件、跑命令、发请求——都要弹窗问你“允许吗”现在这一步改成由另一个模型来判断哪一步能执行、哪一步要拦。消息传出来讨论基本分成两派。一派说终于不用当“人形确认按钮”了另一派问得更直接出了事谁负责。我觉得后一个问题更值得掰开看因为 Anthropic 自己公布的数据里这套机制的边界写得挺清楚。一、“自动模式”到底自动了什么先澄清一个常见误解自动模式不是把权限关闭也不是--dangerously-skip-permissions那种裸奔模式那玩意儿是彻底不设防。自动模式是在“每一步都问人”和“什么都不问”之间加了一层分类器。按 Anthropic 技术博客的说法它分三层放行第一层白名单只读类工具直接过读文件、搜索、代码导航、todo 和 plan 模式切换这些不改状态不需要审。第二层项目内文件读写仓库目录里的写和改直接放行理由是有版本控制兜底事后能 review。第三层分类器shell 命令、网页抓取、外部工具调用、子 agent 派生、项目目录外的文件操作——这些才真正送审。送审之后是两阶段判断先一个单 token 的快筛只输出“拦/放”并且被要求“宁可多拦”只有快筛亮红灯的才进入第二阶段的思维链复核把误拦降下来。有个设计细节我认为挺关键分类器只能看到用户消息和工具调用本身助手自己的解释文字和工具返回内容都被剥掉。官方给的理由是防止 agent 用一段“这是安全的用户之前同意过”的说辞把审核模型说服同时也顺带把提示注入的入口挡在外面。也就是说它判断的是“你干了什么”不是“你说你为什么这么干”。二、官方自己承认的失手率这部分是全文最该看的地方因为数字是 Anthropic 自己发的不是外面猜的。在真实内部流量的 1 万条工具调用上两阶段管线的误拦率把正常操作拦下来从 8.5% 降到0.4%。在 1000 条合成的数据外泄测试上漏放率该拦没拦是 5.7%。但在“真实过度积极动作”这个数据集上——52 条员工当场拒绝或事后被标记的危险操作——漏放率是 17%。17% 这个数字不好看官方也没藏着。博客里解释说多数漏掉的案例里分类器其实识别出了危险动作比如 force push、删除、改基础设施它判断错的是另一件事会话里出现过的那句“同意”到底算不算对这个动作的授权。用户说“清理一下 PR”不等于授权 force push之前批准过类似操作也不构成惯例。官方给的结论很实在如果你原本用--dangerously-skip-permissions这是大幅改善如果你原本每个操作都认真看那这是退步——你用自己的判断换了一个会犯错的分类器。它不适合高危基础设施上的无人值守。配套还有一道刹车一次会话里连续 3 次被拒或累计 20 次被拒模型会停下来升级给人无头模式claude -p下没有界面可问直接终止进程。三、对普通开发者的实际影响先说结论日常写业务代码影响不大跑在共享环境、生产环境、带凭据的机器上影响很大。日常写代码基本落在第一层和第二层本来就不进分类器所以“自动”与否体感差不多只是少了弹窗。真正变的是那些会碰外部世界的操作。几条我会实际去做的动作# 官方文档给出的命令先看清楚默认拦什么、放什么claude auto-mode defaults先看默认规则再谈信任。默认规则里二十多条拦截项大致分四类不可逆破坏或外泄force push 覆盖历史、批量删云存储、把内部数据发出去削弱安全姿态关日志、装 SSH key 或 cron、改 agent 自己的权限配置跨信任边界跑外部仓库克隆来的代码、扫凭据库找 token、往没指定过的服务发数据绕过评审或影响他人直接推 main、跑生产发布、动别人创建的资源。第二条把权限规则收窄。有个容易踩的坑进入自动模式时系统会主动丢掉那些“已知可以任意执行代码”的宽规则——通配 shell、python/node这类解释器通配、包管理器 run 命令。很多人早先为少点弹窗配过这些切过去会发现失效了。这不是 bug留着的话最能造成破坏的命令恰好见不到分类器。窄规则比如“允许跑代码格式化”会保留。第三条信条边界要自己填。默认只信任当前 git 仓库其他一切都算外部。公司内部的 GitHub org、云存储桶、内部 API得自己配进去否则正常的内部调用也会被当成外泄拦掉——误拦不致命但会不停重试长任务里很烦。第四条也是最土的一条凭据别放在 agent 能随手读到的地方。分类器拦的是“把 token 发出去”这个动作不是“token 就在环境变量里”这个事实。少给它机会比指望它每次判断都对更靠谱。四、这件事真正变的地方表面看是省了几百次点击往深一层看是审核权的位置变了从“人在回路里”变成“人在回路外出事再进来”。这个转移不是一家在推方向是一致的——代码和实验的产出量已经超出人能逐条审的规模审核本身也得自动化。但自动化的审核有个绕不开的问题监控者和被监控者跑在同一套基础设施上。外部机构对 OpenAI 内部监控做的红队报告里提到过一类问题比如监控只在 agent 交还控制权时才触发那 agent 只要一直不交还就一直不被看。这类缺陷不是调参能解决的。Anthropic 这边的做法是把分类器和 agent 的上下文隔开、让它看不到工具输出算是往“监控独立性”上走了一步但 17% 的漏放率说明它离“可以放心交权”还有距离。对打工人的现实建议就一句把自动模式当成一个“手比较快、判断力中等、不会累”的实习生。日常杂活可以给生产库的钥匙先别给。你怎么看你们团队现在敢让 agent 直接跑部署命令吗评论区聊聊。
据新智元和多家科技媒体报道Anthropic 宣布从下周起把 Claude 的自动模式设为默认以前 Claude 每执行一步——写文件、跑命令、发请求——都要弹窗问你“允许吗”现在这一步改成由另一个模型来判断哪一步能执行、哪一步要拦。消息传出来讨论基本分成两派。一派说终于不用当“人形确认按钮”了另一派问得更直接出了事谁负责。我觉得后一个问题更值得掰开看因为 Anthropic 自己公布的数据里这套机制的边界写得挺清楚。一、“自动模式”到底自动了什么先澄清一个常见误解自动模式不是把权限关闭也不是--dangerously-skip-permissions那种裸奔模式那玩意儿是彻底不设防。自动模式是在“每一步都问人”和“什么都不问”之间加了一层分类器。按 Anthropic 技术博客的说法它分三层放行第一层白名单只读类工具直接过读文件、搜索、代码导航、todo 和 plan 模式切换这些不改状态不需要审。第二层项目内文件读写仓库目录里的写和改直接放行理由是有版本控制兜底事后能 review。第三层分类器shell 命令、网页抓取、外部工具调用、子 agent 派生、项目目录外的文件操作——这些才真正送审。送审之后是两阶段判断先一个单 token 的快筛只输出“拦/放”并且被要求“宁可多拦”只有快筛亮红灯的才进入第二阶段的思维链复核把误拦降下来。有个设计细节我认为挺关键分类器只能看到用户消息和工具调用本身助手自己的解释文字和工具返回内容都被剥掉。官方给的理由是防止 agent 用一段“这是安全的用户之前同意过”的说辞把审核模型说服同时也顺带把提示注入的入口挡在外面。也就是说它判断的是“你干了什么”不是“你说你为什么这么干”。二、官方自己承认的失手率这部分是全文最该看的地方因为数字是 Anthropic 自己发的不是外面猜的。在真实内部流量的 1 万条工具调用上两阶段管线的误拦率把正常操作拦下来从 8.5% 降到0.4%。在 1000 条合成的数据外泄测试上漏放率该拦没拦是 5.7%。但在“真实过度积极动作”这个数据集上——52 条员工当场拒绝或事后被标记的危险操作——漏放率是 17%。17% 这个数字不好看官方也没藏着。博客里解释说多数漏掉的案例里分类器其实识别出了危险动作比如 force push、删除、改基础设施它判断错的是另一件事会话里出现过的那句“同意”到底算不算对这个动作的授权。用户说“清理一下 PR”不等于授权 force push之前批准过类似操作也不构成惯例。官方给的结论很实在如果你原本用--dangerously-skip-permissions这是大幅改善如果你原本每个操作都认真看那这是退步——你用自己的判断换了一个会犯错的分类器。它不适合高危基础设施上的无人值守。配套还有一道刹车一次会话里连续 3 次被拒或累计 20 次被拒模型会停下来升级给人无头模式claude -p下没有界面可问直接终止进程。三、对普通开发者的实际影响先说结论日常写业务代码影响不大跑在共享环境、生产环境、带凭据的机器上影响很大。日常写代码基本落在第一层和第二层本来就不进分类器所以“自动”与否体感差不多只是少了弹窗。真正变的是那些会碰外部世界的操作。几条我会实际去做的动作# 官方文档给出的命令先看清楚默认拦什么、放什么claude auto-mode defaults先看默认规则再谈信任。默认规则里二十多条拦截项大致分四类不可逆破坏或外泄force push 覆盖历史、批量删云存储、把内部数据发出去削弱安全姿态关日志、装 SSH key 或 cron、改 agent 自己的权限配置跨信任边界跑外部仓库克隆来的代码、扫凭据库找 token、往没指定过的服务发数据绕过评审或影响他人直接推 main、跑生产发布、动别人创建的资源。第二条把权限规则收窄。有个容易踩的坑进入自动模式时系统会主动丢掉那些“已知可以任意执行代码”的宽规则——通配 shell、python/node这类解释器通配、包管理器 run 命令。很多人早先为少点弹窗配过这些切过去会发现失效了。这不是 bug留着的话最能造成破坏的命令恰好见不到分类器。窄规则比如“允许跑代码格式化”会保留。第三条信条边界要自己填。默认只信任当前 git 仓库其他一切都算外部。公司内部的 GitHub org、云存储桶、内部 API得自己配进去否则正常的内部调用也会被当成外泄拦掉——误拦不致命但会不停重试长任务里很烦。第四条也是最土的一条凭据别放在 agent 能随手读到的地方。分类器拦的是“把 token 发出去”这个动作不是“token 就在环境变量里”这个事实。少给它机会比指望它每次判断都对更靠谱。四、这件事真正变的地方表面看是省了几百次点击往深一层看是审核权的位置变了从“人在回路里”变成“人在回路外出事再进来”。这个转移不是一家在推方向是一致的——代码和实验的产出量已经超出人能逐条审的规模审核本身也得自动化。但自动化的审核有个绕不开的问题监控者和被监控者跑在同一套基础设施上。外部机构对 OpenAI 内部监控做的红队报告里提到过一类问题比如监控只在 agent 交还控制权时才触发那 agent 只要一直不交还就一直不被看。这类缺陷不是调参能解决的。Anthropic 这边的做法是把分类器和 agent 的上下文隔开、让它看不到工具输出算是往“监控独立性”上走了一步但 17% 的漏放率说明它离“可以放心交权”还有距离。对打工人的现实建议就一句把自动模式当成一个“手比较快、判断力中等、不会累”的实习生。日常杂活可以给生产库的钥匙先别给。你怎么看你们团队现在敢让 agent 直接跑部署命令吗评论区聊聊。
